LandsrettenI februar 2019 ansøgte Sagsøger 2 kommunen om økonomisk hjælp til et efterskoleophold for sin søn. I ansøgningen inkluderede han fortrolige oplysninger om sin ægtefælle (Sagsøger 1), herunder en specifik mental helbredsdiagnose, samt dokumentation for familiens økonomi. I april 2019 anmodede Sagsøger 2's tidligere ægtefælle (Vidne 1) om aktindsigt i oplysninger om deres fælles barn. Ved fejltagt udleverede kommunen hele ansøgningsmailen, hvorvidt Vidne 1 fik kendskab til Sagsøger 1's diagnose og oplysninger om Sagsøger 2's økonomiske råderum. Vidne 1 anvendte herefter oplysningerne i verserende familieretssag om bopælen for deres fælles barn.
Sagsøgerne nedlagde påstand om henholdsvis 55.000 kr. i erstatning for immateriel skade efter Databeskyttelsesforordningen artikel 82, stk. 1, suppleret med krav om godtgørelse efter Erstatningsansvarsloven § 26, stk. 1 og for krænkelse af Den Europæiske Menneskerettighedskonventions artikel 8.
Kommunen erkendte fejlen, men procederede på frifindelse under henvisning til, at det var tale om et enkeltstående menneskeligt uheld (utilsigtet videregivelse), at sikkerhedsforanstaltningerne var passende efter Databeskyttelsesforordningen artikel 32, og at sagsøgerne ikke havde godtgjort reel juridisk "skade" ud over subjektiv ubehag. Kommunen gjorde desuden gældende, at den økonomiske dokumentation og cpr-numre ikke faktisk blev udleveret.
Sagen blev henvist til Østre Landsret som første instans efter Retsplejeloven § 226, stk. 1 pga. sin principielle karakter for forståelsen af det EU-retlige skadesbegreb under GDPR. De centrale spørgsmål var:
Landsretten fastslog, at kommunen handlet i strid med Databeskyttelsesforordningen artikel 9, stk. 1 ved at videregive den følsomme helbredsoplysning uden lovlig hjemmel. Vedrørende skadesbegrebet henvisede retten til EU-Domstolens praksis, der fastslår at begrebet skal fortolkes bredt og at der "ikke gælder en bagatelgrænse for immateriel skade", ligesom "tab af kontrol over personoplysninger – selv i et kort tidsrum" kan udgøre skade.
For Sagsøger 1 fandt retten, at lækagen af en meget følsom helbredsoplysning, som rent faktisk blev brugt af en tredjepart i en familietvist, udgjorde en godtgjord immateriel skade. For Sagsøger 2 konkluderedes derimod, at videregivelsen af den økonomiske overskudsoplysninng ikke førte til misbrug eller konkret påvirkning, og at hans påvirkning af ægtefællens reaktion ikke i sig selv udgør en selvstændig skade.
Vedrørende ansvarsfratagelse lagde retten vægt på EU-Domstolens afgørelser om, at "en dataansvarlig ikke kan frigøre sig for sit ansvar... blot ved at påberåbe sig, at en person, der udfører arbejde for vedkommende, har udvist uagt somhed eller forsømmelse". Kravene efter erstatningsansvarslovens § 26 og EMRK artikel 8 afviste, da fejlen manglede den fornødne grovhed for tortgodtgørelse, og GDPR-erstatningen allerede sikrede fuld kompensation.
Sagsøgte (Kommune) dømmes til at betale 2.500 kr. i erstatning til Sagsøger 1 med procesrente fra sagens anlæg. Sagsøgte frifindes øvrigt. Sagsomkostninger pålægges kommunen over for Sagsøger 1 (50.750 kr.), mens Sagsøger 2 skal betale 50.000 kr. i omkostninger til kommunen.
